بایننس توضیح داد سرقت ۶.۴۳ میلیارد دلاری چگونه رخ داد: مصاحبه شغلی جعلی، Homebrew آلوده و سوءاستفاده از ابزار هوش مصنوعی داخلی
اخبار داغ فناوری اطلاعات و امنیت شبکه«یک رخنه منفرد یا فیشینگ ساده نبود»؛ کمپینی چندمرحله‌ای علیه دو مهندس زیرساخت کیف پول
صرافی بایننس، بزرگ‌ترین صرافی ارز دیجیتال جهان، روز سه‌شنبه اعلام کرد سرقت رکوردشکن ۶.۴۳ میلیارد دلاری از دارایی‌هایش، نقطه اوج یک «کمپین پیچیده و چندمرحله‌ای» بوده است؛ کمپینی که شامل نصب دستکاری‌شده Homebrew و حمله مهندسی اجتماعی با مضمون استخدام علیه دو مهندس این شرکت می‌شد.
بایننس تأکید کرده این حادثه «نه یک رخنه منفرد و جداگانه بود و نه یک فیشینگ ساده». به گفته این شرکت، مهاجمان ترکیبی از تکنیک‌ها را به کار بردند: مهندسی اجتماعی از طریق مصاحبه‌های استخدام جعلی، دانلود نرم‌افزارهای مخرب، ابزارهای داخلی هوش مصنوعی آلوده، نفوذ به دستگاه‌های کاری و یک روش پیشرفته مجوزدهی تراکنش.
مرحله نخست (ژوئن ۲۰۲۶): نصب‌کننده Homebrew آلوده
نقطه شروع، به یک حمله زنجیره تأمین علیه یکی از مهندسان تیم Wallet DevOps — با نام مستعار «مهندس A» — بازمی‌گردد. او پس از جست‌وجوی یک ابزار محبوب هوش مصنوعی در یک موتور جست‌وجو، یک نصب‌کننده Homebrew آلوده (Trojanized) را برای نصب آن ابزار دانلود کرد. این رخداد در ژوئن ۲۰۲۶ اتفاق افتاد.
بایننس می‌گوید این حمله را شناسایی و به‌عنوان اقدام احتیاطی تمام اعتبارنامه‌های مرتبط را چرخانده بود. با این حال، اطلاعات مربوط به نقش مهندس A و همکارانش در تیم زیرساخت کیف پول، در اختیار هکر قرار گرفت.
مرحله دوم (سپتامبر ۲۰۲۶): مصاحبه شغلی جعلی
بخش دوم حمله در سپتامبر ۲۰۲۶ رخ داد. مهاجم از طریق یک پلتفرم قانونی کاریابی و با جعل هویت یک «مدیر پروژه»، با مهندس دیگری — «مهندس B» — تماس گرفت.
دو دور مصاحبه برای جلب اعتماد
- دور نخست: مصاحبه تصویری با فردی که خود را نماینده منابع انسانی (HR) معرفی می‌کرد. برای ایجاد اعتبار، این فرد یک حساب شبکه اجتماعی شامل عکس‌ها و ویدیوهای شخصی را نشان داد.
- دور دوم: در یک اپلیکیشن چت محبوب، با فردی که ادعا می‌کرد مدیرعامل یک شرکت است. بایننس مشخص نکرده این شرکت (که وجود خارجی نداشت) چه بود.
«تکلیف» آلوده
نزدیک پایان مصاحبه، از مهندس B خواسته شد یک «تکلیف» (Assignment) حاوی مخزن کد مخرب را روی رایانه کاری خود دانلود کند. بایننس توضیح داده این مخزن شامل کدی بود که در جریان راه‌اندازی (Setup) اجرا می‌شد و مجموعه‌ای از فعالیت‌های غیرمجاز را آغاز می‌کرد.
بدافزار شناسایی‌نشده، از مبهم‌سازی و فرار پیشرفته بهره می‌برد؛ از جمله جایگزین کردن یک مؤلفه قانونی ابزار توسعه با نسخه‌ای مسموم برای اجرای دستورات و برقراری ارتباط با یک سرور خارجی تحت کنترل مهاجم. مهاجم همچنین با حذف آثار پزشکی قانونی (Forensic Artifacts)، ردپای خود را پاک کرد.
مرحله سوم (۲۰ تا ۲۹ اکتبر ۲۰۲۶): سوءاستفاده از ابزار هوش مصنوعی داخلی
در ۲۰ اکتبر ۲۰۲۶، نفوذ به مرحله بعد رسید: مهاجم با استفاده از رایانه به‌خطرافتاده مهندس B و سوءاستفاده از یک ابزار هوش مصنوعی داخلی، کنترل مهندس A و یک مهندس نرم‌افزار کیف پول دیگر («مهندس C») را به دست گرفت.
بایننس می‌گوید مهاجم به‌زودی دریافت مهندس A روی رایانه‌اش یک توکن مجوز استقرار کانتینر دارد. در ۲۹ اکتبر، بین ساعت ۱۷:۱۵ تا ۱۹:۵۶، مهاجم به رایانه مهندس C وارد شد، از اعتبارنامه‌های سرقت‌شده مهندس A استفاده کرد، یک کانتینر مستقر کرد و یک اسکریپت مخرب را برای آغاز حمله اجرا نمود.
ضربه نهایی
در نهایت، مهاجم از دسترسی غیرمجازش به یک سرویس داخلی امضای کیف پول سوءاستفاده کرد تا تراکنش‌هایی را خارج از فرایند عادی برداشت آغاز کند.
اقدامات واکنشی بایننس
بایننس سیستم کیف پول آسیب‌دیده را در یک محیط جدید بازسازی و همچنین ابزار هوش مصنوعی داخلی و کنترل‌های دسترسی را از نو ساخته است. اقدامات دیگر تا ۳ نوامبر:
- جایگزینی دستگاه‌های آسیب‌دیده
- از رده خارج کردن اعتبارنامه‌ها و توکن‌های مرتبط با مهندسان درگیر
- تکمیل اسکن‌های امنیتی پیشرفته روی تمام دستگاه‌های کارکنان
- تقویت شناسایی ناهنجاری رفتاری مبتنی بر هوش مصنوعی
- تقویت کنترل‌های ریسک سرویس کیف پول
- همکاری با نهادهای اجرای قانون، شرکت‌های هوش بلاک‌چین و شرکای صنعتی برای ردیابی و مسدودسازی دارایی‌های آسیب‌دیده
این شرکت اعلام کرده نقاط ورودی که در حمله به کار رفتند بسته شده‌اند، سیستم‌های روی مسیر حمله بازسازی یا جایگزین شده‌اند، و کنترل‌های سخت‌گیرانه‌تر دستگاه و سرمایه‌گذاری بیشتر در شناسایی مبتنی بر هوش مصنوعی، حفاظت اندپوینت و امنیت محیط توسعه را آغاز کرده است.
الگوی تهدید گسترده‌تر: ۵۷ مورد مشکوک خنثی‌شده
بایننس تخمین می‌زند از ابتدای امسال، ۵۷ مورد مشکوک تهدید سایبری مرتبط با کره شمالی را خنثی کرده است؛ نشانه‌ای از ماهیت مستمر حملات علیه صنعت ارز دیجیتال. این شرکت تکنیک‌های رایج در این حملات را چنین فهرست کرده است:
- مصاحبه‌های شغلی جعلی
- نرم‌افزارهای مخرب مبدل به ابزارهای محبوب توسعه‌دهندگان
- بسته‌های نرم‌افزاری و افزونه‌های مرورگر آلوده
- برنامه‌های جعلی ویدیوکنفرانس
- کمپین‌های مهندسی اجتماعی برای سرقت اعتبارنامه یا نصب بدافزار دسترسی از راه دور
توجه: در متن بایننس، این فهرست به‌عنوان الگوی کلی تهدیدات مرتبط با کره شمالی ارائه شده و بایننس در این بخش، مستقیماً آن را به‌عنوان انتساب رسمی همین سرقت خاص بیان نکرده است.
چرا این گزارش اهمیت دارد؟
نخست، عامل انسانی در برابر فناوری: بزرگ‌ترین سرقت ثبت‌شده از یک صرافی ارز دیجیتال با نفوذ به دو مهندس آغاز شد، نه با شکستن یک رمزنگاری یا آسیب‌پذیری روز-صفر. مصاحبه شغلی جعلی با دو دور و حساب شبکه اجتماعی قانع‌کننده، نشان می‌دهد صبر و جزئیات در مهندسی اجتماعی چقدر مؤثر است.
دوم، زنجیره تأمین و فاصله زمانی: مرحله اول در ژوئن رخ داد، مرحله دوم در سپتامبر، مرحله سوم در اکتبر؛ یعنی مهاجم ماه‌ها صبر کرد و اطلاعات را به‌تدریج جمع کرد. چرخاندن اعتبارنامه‌ها پس از حادثه ژوئن، نتوانست از افشای اطلاعات ساختار تیم جلوگیری کند.
سوم، ابزارهای داخلی هوش مصنوعی به‌عنوان بردار حمله: سوءاستفاده از یک ابزار هوش مصنوعی داخلی برای گسترش از یک دستگاه به دستگاه‌های دیگر، یک سطح حمله نوظهور است. ابزارهایی که به منابع و دستگاه‌های متعدد دسترسی دارند، در صورت به‌خطر افتادن، می‌توانند نقش «پل» را ایفا کنند.
چهارم، قابلیت مجوزدهی تراکنش: دسترسی به سرویس امضای کیف پول، مهاجم را قادر ساخت تراکنش‌ها را از مسیر خارج از فرایند عادی برداشت آغاز کند؛ یعنی کنترل‌های سطح برنامه کافی نبودند و حفاظت از خود سرویس امضا حیاتی است.
توصیه‌های امنیتی
بر اساس درس‌های این حادثه، برای شرکت‌ها (به‌ویژه در حوزه ارز دیجیتال و فناوری مالی) و توسعه‌دهندگان:
- مصاحبه‌های شغلی را با شک سالم بررسی کنید: هرگز «تکلیف» یا مخزن کد دریافتی از فرد ناشناس را روی دستگاه کاری اجرا نکنید؛ از یک ماشین مجازی ایزوله یا دستگاه جداگانه استفاده کنید.
- نرم‌افزارها و ابزارهای توسعه (از جمله Homebrew و ابزارهای هوش مصنوعی) را فقط از منابع رسمی و با بررسی صحت دانلود کنید؛ جست‌وجو در موتورهای جست‌وجو و کلیک روی نتایج، خطرناک است.
- پس از هر حادثه، فراتر از چرخاندن اعتبارنامه، اطلاعات افشاشده درباره ساختار تیم‌ها را نیز به‌عنوان ریسک آینده ارزیابی کنید.
- دسترسی ابزارهای داخلی هوش مصنوعی به دستگاه‌ها و اعتبارنامه‌ها را به حداقل برسانید و رفتار آن‌ها را پایش کنید.
- توکن‌های مجوز استقرار کانتینر و اعتبارنامه‌های مشابه را روی دستگاه‌های شخصی کارکنان ذخیره نکنید؛ از مدیریت اسرار متمرکز با عمر کوتاه استفاده کنید.
- سرویس‌های امضای کیف پول و تراکنش را با کنترل‌های مستقل (تأیید چندطرفه، محدودیت مسیر، ناهنجاری‌یابی رفتاری) محافظت کنید تا دسترسی به یک بخش، کافی برای آغاز تراکنش نباشد.
- شناسایی آثار پزشکی قانونی و ثبت لاگ مستقل را تقویت کنید، چون مهاجمان فعالانه آثار خود را پاک می‌کنند.
- کارکنان فنی را درباره الگوهای «استخدام جعلی» و پلتفرم‌های قانونی که مورد سوءاستفاده قرار می‌گیرند، آموزش دهید.
جمع‌بندی
توضیحات بایننس نشان می‌دهد بزرگ‌ترین سرقت ثبت‌شده از یک صرافی ارز دیجیتال، نتیجه ترکیبی از مهندسی اجتماعی صبورانه، آلودگی زنجیره تأمین، سوءاستفاده از ابزار هوش مصنوعی داخلی و در نهایت دور زدن مسیر عادی برداشت از طریق سرویس امضای کیف پول بوده است. این گزارش یادآوری می‌کند که دفاع مؤثر نیازمند ترکیب آموزش کارکنان، امنیت محیط توسعه، محدودسازی دسترسی ابزارهای خودکار و کنترل‌های مستقل بر سرویس‌های حساس مالی است؛ چراکه مهاجمی که می‌تواند ماه‌ها صبر کند، تنها به یک حلقه ضعیف نیاز دارد.
برچسب ها: امنیت_اطلاعات, امنیت_سایبری, Binance, Cyberattack, cybersecurity, حمله سایبری, news, Homebrew